Política de Privacidad

Tadpole ("Tadpole", "nosotros", "nuestro") opera la plataforma de software empresarial modular accesible en tadpole.systems y sus subdominios (en adelante, el "Servicio"). Esta política explica qué información recolectamos, por qué la recolectamos, cómo la usamos, con quién la compartimos, cómo la protegemos, y los derechos que tienes sobre ella.

Al usar el Servicio aceptas esta política. Si no estás de acuerdo, no uses el Servicio.

1. Quién es el responsable de tus datos

El responsable del tratamiento es Tadpole, S.A., sociedad constituida en la República de Panamá, con sede en Ciudad de Panamá. Para preguntas o solicitudes relacionadas con privacidad, escríbenos a privacy@tadpole.systems.

2. Qué información recolectamos

2.1 Información de cuenta

• Nombre y dirección de correo electrónico (cuando creas tu cuenta).
• Contraseña (almacenada como hash criptográfico, nunca en texto plano).
• Nombre de tu organización / empresa (cuando lo proporcionas).
• Rol dentro de tu organización (admin, owner, agente, etc.).

2.2 Información que tú o tu organización ingresan al Servicio

Tadpole es un sistema de gestión empresarial. Procesamos la información que tú o tu organización deciden ingresar — clientes, productos, órdenes, facturas, mensajes, asientos contables, archivos adjuntos, notas internas y similares. Esta información pertenece a tu organización; Tadpole actúa como procesador en nombre de la organización.

2.3 Datos de WhatsApp Business Platform (Cloud API)

Si tu organización conecta una cuenta de WhatsApp Business a Tadpole, procesamos:

• El número de teléfono de WhatsApp Business de tu organización y su identificador (phone_number_id, waba_id).
• Los mensajes entrantes y salientes intercambiados a través de ese número, junto con sus metadatos (remitente, destinatario, marca de tiempo, estado de entrega).
• El perfil público de WhatsApp del remitente (wa_id, nombre mostrado público) cuando inicia una conversación con tu organización.
• Token de acceso de WhatsApp Business proporcionado por tu organización, almacenado cifrado con cifrado simétrico autenticado (Fernet / AES-128-CBC + HMAC) en reposo.

Estos datos se procesan exclusivamente para entregar la funcionalidad de bandeja compartida solicitada (recibir, mostrar, responder, asignar conversaciones, exportar historial). No los usamos para publicidad, no los vendemos, y no los compartimos con terceros excepto los procesadores listados en la sección 6.

Cumplimos los requisitos de la WhatsApp Business Solution Terms y la Política de Comercio de Meta para WhatsApp.

2.4 Datos de Google (Gmail OAuth)

Si tu organización conecta una cuenta de Google / Gmail a Tadpole, solicitamos los siguientes alcances OAuth:

• https://www.googleapis.com/auth/gmail.readonly — para listar correos entrantes y mostrarlos en la bandeja unificada.
• https://www.googleapis.com/auth/gmail.send — para enviar respuestas desde el Servicio.
• https://www.googleapis.com/auth/gmail.modify — para marcar correos como leídos / archivados al actuar sobre ellos desde el Servicio.
• https://www.googleapis.com/auth/userinfo.email — para identificar la cuenta conectada.

Declaración de Uso Limitado de Datos de Google (Google API Services User Data Policy — Limited Use):
El uso que Tadpole hace de la información recibida de las APIs de Google se adhiere a la Política de Servicios de API de Google (Limited Use Requirements), incluyendo los requisitos de Uso Limitado.

Específicamente:

• Usamos los datos de Gmail únicamente para entregar la funcionalidad solicitada por el usuario (bandeja unificada, respuesta, búsqueda, conversión a cliente).
• No usamos los datos de Gmail para publicidad.
• No vendemos los datos de Gmail.
• No transferimos los datos de Gmail a terceros excepto cuando es necesario para entregar la funcionalidad, cumplir la ley, o como parte de una fusión / adquisición (sujeto a esta misma política).
• No permitimos que humanos lean los datos de Gmail, excepto:
  • Cuando el usuario da consentimiento explícito para resolver un problema técnico específico.
  • Cuando es necesario por razones de seguridad (e.g., investigación de incidentes).
  • Cuando lo requiere la ley aplicable.
  • Cuando los datos están agregados y anonimizados, para mejorar el Servicio.

2.5 Información técnica recolectada automáticamente

• Dirección IP y agente de usuario (para seguridad y prevención de abuso).
• Identificador de sesión (cookie, técnicamente necesaria — sin esto, no podrías mantener sesión iniciada).
• Registros de acceso (timestamp, endpoint, código de respuesta) — retenidos 30 días, luego anonimizados.

2.6 Lo que no recolectamos

• No recolectamos información biométrica.
• No recolectamos datos de geolocalización precisa (solo país aproximado por IP).
• No usamos cookies de seguimiento publicitario ni píxeles de terceros.
• No usamos los contenidos de tus correos, mensajes de WhatsApp, clientes ni órdenes para entrenar modelos de IA.

2.4 Herramientas del sitio web

Las calculadoras y el diagnóstico de tadpole.systems se ejecutan en tu navegador y no envían tus respuestas a ningún servidor. Solo si marcas la casilla «mándame el resultado por correo» recibimos tu correo electrónico, tus respuestas, el resultado y tu consentimiento para contactarte, con la fecha. Los usamos para enviarte el resultado y para escribirte con ayuda sobre tu plan; puedes pedir que los borremos en cualquier momento desde la página de Eliminación de datos.

3. Cómo usamos la información

• Para proveer el Servicio: mostrar la bandeja, procesar webhooks, sincronizar correos, generar reportes, calcular impuestos según las reglas que tu organización configure.
• Para seguridad: detectar abuso, prevenir fraude, investigar incidentes, mantener la integridad del Servicio.
• Para soporte: responder a tus solicitudes cuando nos escribes.
• Para cumplir obligaciones legales: responder a órdenes judiciales válidas, requerimientos fiscales (e.g., DGI Panamá), u otros requisitos legales aplicables.
• Para mejorar el Servicio: análisis agregado y anonimizado de uso para entender qué features son útiles.

No usamos tu información para ninguna otra finalidad sin tu consentimiento explícito previo.

4. Base legal del tratamiento

Tratamos datos personales conforme a la Ley 81 de 26 de marzo de 2019 sobre protección de datos personales de la República de Panamá y su reglamento, el Decreto Ejecutivo 285 de 28 de mayo de 2021, bajo los principios de lealtad, finalidad, proporcionalidad, veracidad, seguridad, transparencia, confidencialidad, licitud y portabilidad que esa ley establece. Cuando un usuario está fuera de Panamá, aplicamos además la normativa que corresponda (por ejemplo, GDPR).

Procesamos tu información sobre las siguientes bases legales:

• Ejecución de un contrato: proveer el Servicio que tu organización contrató.
• Consentimiento: para conexiones opcionales (e.g., Gmail, WhatsApp), cuando autorizas explícitamente la conexión.
• Interés legítimo: seguridad del Servicio, prevención de abuso, mejora del producto sobre datos agregados.
• Obligación legal: cumplir requerimientos fiscales o judiciales aplicables.

5. Cuánto tiempo conservamos tu información

Conservamos tu información mientras mantengas la cuenta activa y mientras sea necesario para entregar el Servicio o cumplir con obligaciones legales aplicables. Cuando solicites eliminación o canceles tu cuenta, procedemos según se detalla a continuación.

• Datos de cuenta y datos operacionales (clientes, órdenes, facturas, mensajes, etc.): permanecen disponibles mientras la cuenta esté activa. Si cancelas o solicitas eliminación, los procesamos dentro de los 30 días siguientes a la solicitud, salvo por los registros que la ley nos obligue a conservar (ver más abajo).
• Mensajes de WhatsApp: mismo tratamiento que datos operacionales. Tu organización puede solicitar eliminación selectiva de hilos o conversaciones específicas en cualquier momento.
• Datos de Gmail (caché local): mientras la conexión esté activa. Cuando desconectas Gmail o solicitas eliminación, los purgamos dentro de los 30 días siguientes.
• Registros técnicos y de seguridad (logs de acceso, IPs, sesiones): conservados por el período mínimo necesario para investigaciones de seguridad y abuso. Los eliminamos a solicitud, sujeto a no estar siendo usados activamente en una investigación de incidentes.
• Información requerida por ley: facturas emitidas, asientos contables y registros tributarios se conservan por el período exigido por el Código Fiscal y el Código de Comercio de Panamá — generalmente 5 años desde la última anotación, en algunos casos hasta 10 años. Esto aplica independientemente de tu solicitud de eliminación; es una obligación legal que también nos protege a ambos en caso de auditoría o disputa.

Nota de transparencia: la eliminación que inicias desde tu cuenta es automática (tu usuario de inmediato; la cuenta completa 7 días después de confirmarla). Las solicitudes que llegan por correo las procesamos a mano, en 30 días o menos.

6. Con quién compartimos tu información

No vendemos tu información. Compartimos solo con los procesadores estrictamente necesarios para entregar el Servicio:

• Railway (Estados Unidos): infraestructura de cómputo y base de datos.
• Cloudflare (Estados Unidos): CDN, DNS, protección DDoS, y almacenamiento de respaldos cifrados (R2).
• Meta Platforms (WhatsApp Business Cloud API): entrega de mensajes WhatsApp cuando tu organización ha conectado una cuenta de WhatsApp Business.
• Google LLC (Gmail API): sincronización de correos cuando tu organización ha conectado una cuenta Gmail.
• Mailchimp (Intuit Inc., Estados Unidos): únicamente cuando tu organización conecta su propia cuenta de Mailchimp en el módulo de Marketing, para sincronizar las audiencias y campañas que tú elijas. Tadpole no envía boletines propios por Mailchimp.
• Resend (Estados Unidos): relevo de correo de los formularios del sitio web (contacto, sugerencias) y correos transaccionales del Servicio (e.g., restablecimiento de contraseña). El buzón que recibe los formularios del sitio es una cuenta de Google (Gmail).

Compartiremos información con autoridades cuando lo requiera una orden judicial válida o ley aplicable, notificándote previamente cuando legalmente sea posible.

7. Transferencias internacionales

Tus datos pueden ser procesados en Estados Unidos (Railway, Cloudflare, Google, Meta, Mailchimp, Resend) y otros países donde operan nuestros procesadores. Cuando aplique GDPR u otra normativa equivalente, usamos cláusulas contractuales estándar u otros mecanismos legales aprobados.

8. Cómo protegemos tu información

• Cifrado en tránsito: todo el tráfico HTTPS (TLS 1.2+).
• Cifrado de tokens de terceros en reposo: tokens de WhatsApp, Google, y similares cifrados con Fernet (AES-128-CBC + HMAC-SHA256).
• Verificación de firma de webhooks: HMAC-SHA256 con comparación de tiempo constante.
• Hash de contraseñas: bcrypt con factor de costo apropiado.
• Aislamiento multi-tenant: filtrado por account_id a nivel de query SQL para impedir fugas entre organizaciones.
• Respaldos: respaldos nocturnos automáticos de la base de datos, cifrados y almacenados en almacenamiento externo (offsite), activos desde junio de 2026. Los respaldos siguen un calendario de retención fijo: los diarios se conservan 30 días, los mensuales un año y los anuales cinco años. Un respaldo ya tomado no se edita; tus datos desaparecen de cada respaldo cuando este caduca según ese calendario.
• Control de acceso administrativo: el acceso administrativo está limitado al equipo de Tadpole y registrado. La administración se realiza desde una consola interna de operaciones independiente, con acceso restringido y verificación en dos pasos (2FA), ya activa. La verificación en dos pasos también está disponible para todos los usuarios del Servicio.
• Sin acceso humano a contenidos de tu organización por defecto: nuestros administradores no acceden a tus datos salvo que des consentimiento explícito o sea estrictamente necesario para resolver un incidente de seguridad documentado.

9. Tus derechos

Como titular de datos personales tienes, conforme a la Ley 81 de 2019, los derechos de acceso, rectificación, cancelación, oposición y portabilidad (derechos ARCO-P), que puedes ejercer gratuitamente:

• Acceso: solicitar una copia de la información que tenemos sobre ti.
• Rectificación: corregir información inexacta o incompleta.
• Cancelación (eliminación): solicitar la eliminación de tu información — ver instrucciones en la página Eliminación de datos. Si tienes cuenta, puedes hacerlo tú mismo en Configuración → Cuenta → Tus datos, donde también puedes descargar toda tu información.
• Portabilidad: recibir tu información en formato estructurado y legible por máquina.
• Limitación: restringir cómo procesamos tu información.
• Oposición: oponerte al procesamiento basado en interés legítimo.
• Retiro de consentimiento: revocar consentimientos previos (e.g., desconectar Gmail o WhatsApp) en cualquier momento desde la configuración del Servicio.

Para ejercer cualquiera de estos derechos, escríbenos a privacy@tadpole.systems. Respondemos en un plazo máximo de 30 días. Si consideras que no atendimos tu solicitud, puedes presentar un reclamo ante la Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI), autoridad de protección de datos personales en Panamá.

10. Cookies

Usamos únicamente cookies técnicamente necesarias (sesión, preferencias). No usamos cookies de seguimiento publicitario ni de terceros con fines analíticos en el panel de la aplicación.

11. Menores de edad

El Servicio no está dirigido a menores de 16 años. No recolectamos intencionalmente información de menores. Si descubres que un menor ha proporcionado información, escríbenos para eliminarla.

12. Cambios a esta política

Si actualizamos esta política, publicaremos la nueva versión aquí con una fecha de "Última actualización" modificada. Para cambios materiales que afecten cómo procesamos tu información personal, te notificaremos por correo electrónico o mediante el Servicio con al menos 30 días de anticipación.

13. Contacto

Email de privacidad: privacy@tadpole.systems
Email general: info@tadpole.systems
Eliminación de datos: Instrucciones aquí